CentOS Minimal如何日志管理 - 问答

CentOS Minimal 日志管理实操指南

一核心组件与日志位置

系统采用 systemd-journald + rsyslog 双通道：journald 负责结构化日志，rsyslog 负责落盘与转发。常见日志目录为 /var/log，关键文件包括：/var/log/messages（综合系统日志）、/var/log/secure（认证与安全日志）、/var/log/audit/audit.log（审计日志）、/var/log/boot.log（启动日志）等。查看与分析可用 journalctl 与 tail/grep 等工具。

二查看与检索日志

查看全部与实时日志
- 查看全部：journalctl
- 实时跟踪：journalctl -f
- 本次启动日志：journalctl -b
按服务、时间、级别检索
- 指定服务：journalctl -u sshd
- 时间范围：journalctl --since “2025-11-01” --until “2025-11-15”
- 按优先级：journalctl -p err…alert
传统文本日志
- 跟踪文件末尾：tail -f /var/log/messages
- 关键字检索：grep “error” /var/log/messages 或结合 journalctl 使用管道检索。

三日志轮转与保留策略

使用 logrotate 做按日/按大小轮转、压缩与清理，建议为系统日志设置统一策略并针对关键应用单独配置。

示例（放入 /etc/logrotate.d/syslog 或 /etc/logrotate.conf 的顶层段）：

/var/log/*.log {
    daily
    rotate 7
    compress
    delaycompress
    missingok
    notifempty
    create 0640 root adm
    sharedscripts
    postrotate
        /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true
    endscript
}

立即执行一次轮转（调试用）：logrotate -f /etc/logrotate.conf。该示例表示按天轮转、保留 7 份、压缩旧日志、空文件不轮转，并在轮转后向 rsyslog 发送 HUP 信号使其重新打开日志文件。

四 systemd 日志的持久化与大小控制

持久化（默认 Minimal 可能未持久化到磁盘）：创建目录 /var/log/journal，并确保 systemd-journald 可写：
```
sudo mkdir -p /var/log/journal
sudo systemctl restart systemd-journald
```

配置大小与保留策略（编辑 /etc/systemd/journald.conf）：

[Journal]
SystemMaxUse=500M
SystemKeepFree=100M
SystemMaxFileSize=50M
SystemMaxFiles=5

按时间与容量清理历史日志：
- 保留最近 2 周：journalctl --vacuum-time=2weeks
- 限制总大小不超过 500MB：journalctl --vacuum-size=500M
- 先轮转再清理：journalctl --rotate && journalctl --vacuum-time=1d。

五集中式日志与安全加固建议

集中式日志（rsyslog 服务器/客户端）
- 服务端开启 UDP/TCP 接收（在 /etc/rsyslog.conf 中启用相应模块与规则），客户端将本地日志通过 @ 或 @@ 发送到服务器；适合多机统一审计与容灾。
审计与入侵检测
- 启用 auditd 记录关键系统调用与文件访问，配置规则（如监控 execve 等），与 rsyslog/journald 配合做合规审计。
安全与合规
- 限制 /var/log 访问权限，关键日志仅允许 root 与 adm 组读取；为 logrotate 配置合适的 create 权限与属主；对含敏感信息的日志设置更严格的保留周期与访问控制。

0 赞

0 踩